Conseil · Formation · Recherche appliquée en risque cyber
ASPIRIONS aide les dirigeants à prouver leur conformité et à décider du risque cyber en euros, avec des hypothèses qu’ils peuvent vérifier.
Ouverture début 2027
Le cabinet est en cours de création à Paris, et son site ouvrira avec lui. D’ici là, son fondateur vous répond directement.
Repères réglementaires
Le Sénat a adopté le projet en première lecture le 12 mars 2025. L’Assemblée nationale a achevé l’examen des articles le 10 novembre 2026 et le vote sur l’ensemble est annoncé pour le 17 novembre 2026. Le document dont nous partons est établi à titre provisoire par l’Assemblée. Les deux chambres n’ayant pas voté le même texte, une étape de conciliation reste possible avant la promulgation. Tant que la loi n’est pas promulguée, rien de ce qui suit n’est le droit en vigueur.
Texte résultant des délibérations de l’Assemblée nationale, séance du 10 novembre 2026
Non. Il faut trois conditions réunies. Relever d’un type d’entités du secteur, que le décret d’application doit encore lister. Atteindre un seuil de taille. Ne pas relever d’une exclusion. Une entreprise qui fournit des acteurs d’un secteur sans exercer elle-même l’activité n’est pas visée à ce titre.
Articles 7, III, 8 et 9
Dans un secteur hautement critique, l’entreprise est entité essentielle si elle emploie au moins 250 personnes, ou si son chiffre d’affaires annuel dépasse 50 millions d’euros et son total de bilan 43 millions d’euros.
Article 8, 1°
Dans le texte issu de l’Assemblée nationale, oui. Les éditeurs de logiciels y figurent parmi les entités essentielles, sans seuil de taille et sans définition de la catégorie. Cette mention a été ajoutée par amendement et n’existait pas dans le texte du Sénat. C’est l’un des points à suivre de près jusqu’au texte définitif.
Article 8, 6°
Les communes de plus de 30 000 habitants sont entités essentielles. Les communes moins peuplées ne figurent pas dans la liste, mais elles peuvent être touchées par l’intermédiaire de leur intercommunalité ou d’un syndicat.
Article 8, 7°, b
Un incident important se notifie à l’ANSSI en trois temps. Une notification initiale dans les vingt-quatre heures après en avoir eu connaissance. Une notification intermédiaire dans les soixante-douze heures, avec une première évaluation de la gravité et de l’impact. Un rapport final au plus tard un mois après, ou un rapport d’avancement si l’incident n’est pas clos.
Article 17, II